Ніякі маршрут не выправіць пул VPN, які перасякаецца з вашай LAN

Праграма сцвярджае, што тунель здаровы, але палова патрэбных вам адрасоў ніколі не адказвае. Першая рэакцыя — дадаць маршрут або знізіць метрыку, і менавіта гэтую рэакцыю варта забіць першай. Калі ўласная LAN кліента і пул тунеля прэтэндуюць на адзін прэфікс, табліца маршрутызацыі трымае два несумяшчальныя факты, і ні маршрут па змаўчанні, ні метрыка іх не вырашаюць. Выпраўленне — гэта рашэнне пра адрасацыю, і ніякае рэдагаванне маршрутаў яго не заменіць.

Чаму дадатковы маршрут не можа падзяліць адзін прэфікс

Маршрут не можа раздзяліць дзве прэтэнзіі на адзін прэфікс, таму разумны крок — спыніць пошук патрэбнага радка маршруту. Стэк не паставіць ідэнтычны прэфікс наперад за падключаны маршрут, а больш дакладны запіс сапраўды захоплівае адрас, але робіць лакальны хост, які ім валодае, недасяжным. Тое, што выглядае як праблема маршрутызацыі, — гэта калізія адрасацыі, і абодва выпраўленні змяняюць адрасы, а не маршруты. Праверце гэтае сцвярджэнне на сваёй машыне, перш чым яго прыняць.

ip route get 192.168.1.50
route -n get 192.168.1.50
Find-NetRoute -RemoteIPAddress 192.168.1.50

Запытайце сістэму пра адзін адрас і адзначце, які інтэрфейс яна называе. Linux, macOS і Windows адказваюць на гэта запытам толькі для чытання, які паказвае выбраны інтэрфейс і наступны хоп, нічога не перадаючы. Калі адказ паказвае на фізічны адаптар, пакуль тунель узняты, ядро лічыць адрас знаходзячымся на лініі, а не тым, што тунель мог бы несці.

Пастаўце прэфікс, выдадзены правайдэрам, побач з тым, які абслугоўвае хатні роўтар, і параўнайце іх як радкі. Дакладнае супадзенне — гэта ясны выпадак, а шырэйшы пул правайдэра, які змяшчае хатнюю падсетку, правальваецца гэтак жа, хоць яго лягчэй прапусціць. Два прэфіксы, якія проста выглядаюць падобна, — не калізія, таму запішыце абодва, перш чым нешта змяняць.

Чытайце пул, які кліент сапраўды атрымаў

Чытайце тое, што атрымаў кліент, а не маркетынгавую старонку правайдэра. Павысьце дэталёвасць журнала кліента OpenVPN, і маршруты, якія штурхае сервер, з'явяцца ў ім, паказаўшы прэфіксы тунеля; у іншых месцах пул бачны ў дэталях злучэння або на самім адаптары. Папрасіце ў правайдэра поўны спіс прыватных дыяпазонаў, якія ён выкарыстоўвае, бо адзіная /24 сёння можа стаць дзвюма заўтра. Пазбягаць звычайных блокаў RFC 1918 — не тое ж самае, што пазбягаць выдзеленай вам адрасацыі.

Пул можа таксама сціснуцца або пераехаць паміж рэгіёнамі, таму спісу патрэбныя дата і ўласнік. Любы адказ правайдэра, старэйшы за вашу апошнюю змену плана, лічыце здагадкай, а не фактам. Спытайце яшчэ раз, перш чым замацавацца за дыяпазонам, і захавайце адказ разам з сеткавымі нататкамі, каб наступны чалавек атрымаў доказы ў спадчыну.

Перанумарацыя — гэта выпраўленне, якое вы можаце зрабіць

Калі сервер VPN не ваш, каб яго змяняць, перанос хатняй LAN — адзінае даступнае выпраўленне, і гэта звычайная сітуацыя з камерцыйным правайдэрам. Выберыце дыяпазон па-за пулам правайдэра і па-за дыяпазонамі, якія могуць спатрэбіцца пазней, і праверце яго супраць кожнага іншага сайта, да якога вы дасягаеце праз тунель. Чакайце кароткі перапынак і даўжэйшы хвост забытых прылад: прылада, якая ўсё яшчэ трымае стары адрас, выглядае працуючай, пакуль ёй не спатрэбіцца шлюз.

1. Спачатку інвентарызацыя: уласны адрас роўтара, дыяпазон DHCP, рэзервацыі, пракідванні портаў і любая прылада, адрас якой уведзены ўручную.
2. Потым змяніце LAN-прэфікс роўтара і дыяпазон DHCP разам унутры акна абслугоўвання, і аднавіце правадныя арэнды раней за бесправадныя.
3. Далей выпраўце статычныя адрасы: прынтары, сеткавае сховішча, усё з жорстка зададзеным шлюзам.
4. Нарэшце, перападключыце кліент VPN і пераканайцеся, што адрас тунеля больш не сутыкаецца з LAN.

Праходзьце адрасы ў гэтым парадку, а не ўсе адразу, і пакіньце стары дыяпазон задокументаваным на нейкі час, каб састарэлую прыладу можна было пазнаць, а не загадкаваць. Прылада, якая ніколі не абнаўляе арэнду, абвяшчае сябе тым, што не дасягае шлюза, і гэта значна лепшая падказка, чым званок у падтрымку. Калі роўтар выдае арэнды даўжэйшымі за суткі, скараціце іх на час акна.

Што можа і чаго не можа псеўданім

Калі сервер ваш, трансляцыя адрасоў на кліенце можа паказаць далёкі прэфікс унутры свабоднага лакальнага дыяпазону, так што той самы хост адказвае на другім адрасе. Супольнасны OpenVPN робіць гэта праз client-nat, і гэтая дырэктыва ўласцівая менавіта таму кліенту, яе няма ў камерцыйных і мабільных кліентах, з якімі яе звычайна параўноўваюць. Схема патрабуе маршруту, які адпавядае трансляцыі, свабоднага дыяпазону для псеўданіма і сервера, гатовага адказваць на нятрансляваны адрас кліента. Нішто з гэтага не дапаможа, калі кліент належыць кіраванаму правайдэру, які вы не можаце наладзіць.

Калі змена ўступіць у сілу, дасягніце лакальнага і далёкага хоста спачатку па адрасе, а потым па імені, адзначаючы маршрут, які сістэма выбірае кожны раз. Імя можа ўсё яшчэ развязацца ў стары дыяпазон, таму адрасы і імёны заслугоўваюць незалежных праверак. Перазапусціце адзін кліент і адну прыладу на баку сервера, калі яны прастаялі ўвесь час змены, бо кэшаваныя запісы суседзяў жывуць даўжэй за праўку.

Запішыце прэфіксы, на якіх вы спыніліся, там, дзе людзі сапраўды глядзяць: сеткавыя нататкі, уласнае поле каментара роўтара, старонка першага падключэння. Нехта зноў выбера 192.168.1.0/24, і калізія вернецца разам з ім.